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Bescheinigung 




Die beiliegenden Akten stimmen uberein mit den ursprunglichen 
Unterlagen der auf den nachsten Seiten bezeichneten, beim 
unterzeichneten Amt, als Anmeldeamt im Sinne von Art, 10 des Vertrages 
uber die internationale Zusammenarbeit auf dem Gebiet des 
Patentwesens (PCT), eingegangenen Patentanmeldung. 



Attestation 

Les documents ci-joints sont conformes aux pieces originales relative a la 
demande de brevet specifi6e aux pages suivantes, deposees aupres de 
I'Office soussigne, en tant qu'Office recepteur au sens de I'article 10 du 
Traite de cooperation en mati^re de brevets (PCT). 



Confirmation 

It is liereby confirmed that tine attached documents are corresponding with 
the original pages of the international application, as identified on the 
following pages, filed under Article 10 of the Patent Cooperation Treaty 
(PCT) at the receiving office named below. 



PRIORITY 
' DOCUMENT 

i SUBMITTED OR TRANSMITTED IN 
i COMPLIANCE WITH 

Bern, 8. Oktober 2002 i rule I7.i(a) or (b) 



Eidgenossisches Institutfur Geistiges Eigentum 
Instltut Federal de la Propriete Intellectuelle 
Swiss Federal Intellectual Property Institute 



Patentverfahren 




Administration des brevets 
Patent Administration Rolf Hofstetter 



VIA TELEFAX (38 Seiten) und BESTATIGONG QQ^f ATiOIJ 
Tr>/^TP I ^ jyo^P Anmeldcamt anszufuHen ■ 

Anmeldeamfsexemplar 



ANTRAG 



Der Unterzeichnete beantragt, daB die vorliegende 
interaationale Anmeldung nach dem Vertrag uber die 
intemationale Zusammenarbeit auf dem Gebiet des 
Patentwesens behandelt wird. 



PCT/CH 02/ 0 0 4 52 

Internationales Aktenzeichen 



1 6. Aug. Z002 ( 1 6. Oa 02 ) 

Intemationaies Anmeldedatum ' 



RO/CH- Internationale Anmeldung PCT 

Name des Anmeldeamts und *YCT Intenoational Application" 



Aktenzeichen des Anmelders Oder Anwalts CTalb sewunscht) 
(max.l2Zeichen) 1 53827. 1/LE/mb 



Feld Nr. I BEZEICHNUNG DER ERFINDUNG 
Verfahren und System fiir GSM-Authentifizierung bei WLAN Roaming 



Fdd Nr. 11 ANMELDER 



I I I^iese Person istgleichzeitigErfinder 



^f^SFj il /^f'^'^^f^ ^'"^ H der Name des Stoats anzuge^en. D&^ht 

iTiesem FeQ in der Anschnft^ wtgegebene Staat isi der Stoat des Sitzes oder WofmsitteTd^ 
Anmelders. so/em nachstehend kein Stoat des Sitzes oder Wohnsitzes angezebenistT 

TOGEWA Holding AG 

Wbrbstrasse 223 

3073 Gumligen (Schweiz) 



Staatsangehorigkeit (Sutat): 
CFf 



Diese Person ist Anmclder 
fur folgendc Staaien: 



Telefonnr.; 



Telefaxnr.: 



Femschreibnr.: 



Registrierungsnr. des Anmelders beim Amt; 



Sitz Oder Wohnsitz (StaatJ: 
CH 



Feld Nr. HI WEITERE ANMELDER UND/ODER (WEITERE) ERFINDER 



Name und Anschnfi: (Familienntme, Vomome; beijuristischen Personen vollstdndige amtliche 
d^^TB' ,^%'^^J^fr/''^"^'^^t^osileitzokl tid der Name des Stoats o^JiL o f 
diesem Feld m der Anschnft angegebene Staat ist der Stoat des Sitzes oder ^ohnsitzes dZ 
Anmelders, so/em nachstehend kein Staat des Sitzes oder Wohnsltzes angegeben ist) 

STADELMANN Toni 

Bodenacker 69 

3065 Bolligen (Schweiz) 



Staatsangehorigkeit (Staat): 
CH 



Dicse Personjst Anmclder I I alle Bestim- I — | alle Bestimmiingi 
I 1 mungsstaaten 



Diese Person ist; 
I I nurAnmelder 



□ 



Anmelder undErfmder 

niir Erfinder (Wird dieses Kastchen ' 
apgekreuzt, so sind die nachstehenden 
Angaben nicht notig.) 



Registrierangsnr. des Anmelders beim Amt: 



Sitz Oder Wohnsitz (Staat): 
CH 



fur folgendc Staalcn: 



I I h2? viSSl!£Jl!??S22!" mlt Ausnahmc JoTI nur die Vcrcinigtcn | 1 die im Zusatzfcld 

I — I der VereinigtenStaaten von Amenka 1^ Staaten von Amcriica I I angcgcbcnen Staatcn 



^ Weitere Anmelder und/oder (weiterc) Erfinder sSnd auf emem Fortsetzungsblatt angegeben. 



Feld Nr. rv ANWALT ODER GEMEINSAMER VERTRETER; ODER ZUSTELLANSCHRIFT 



Die folgende Person wird hietmit bestcllt/ist bestellt worden, urn fiir den (die'i Anmelder t — I i 1 • 

vor den zustandigen intem ationalen Bchorden in folgender Eigenscharzi hiideT ak^^^ S Anwalt [H gemeinsamer 
' ' Vertreter 



Name und Anschnft: (Familienname, Vomome: beiJurtstischenPersonenvollstandigeamtliche 
Bezetchnung, Bei der Anschrift sind die Postleitzahl und der Name des 
Staats anzugeben.) 

BOVARD AG 
^ Patontanv/alte j * 
pptingenstrasse 16 
3000 Bern 25 (Schweiz) 



Telefonnr.: 

031/335.20 - 00 



Telefaxnr.: 
031/332.81 .59 



Femschreibnr.: 



Registrieningsnr. des Anwalts beim Amt 



Formblatt PCT/RO/1 01 (Blatt 1) (Maiz 2001 ; Nachdruck Juli 2002) 



Siehe Anmerkungen -z« diesem Antragsformular 



Bestatlgungskopie 
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Fortsetzung voo Fdd Nr. HI WEITERE ANMELDER UND/ODER CWETTERE) ERFINDER 
Wird keines derfolgenden Felder benutzt, so sollte dieses Blatt dem Antrag nicht beigejugt 'werden. 


Name imd Anschrifh (Familiamame, Vomame: beljttrisdscken Personen voUstandige amtUche 
Bezeichnung, Bex der Anschrift sind die Postleitzahl tmd der Name des Siaats anzugeben. Der in 
diesem Feld in der Anschrift angegebene Staat ist der Stoat des Sitzes oder Wohnsitzes des 
Anmelders, so/em naehstekend kein Staat des Sitzes oder Wohnsitzes angegeben isL) 

KAUZ Michael 
Chemin du Devin 80 
1012 Ijausanne (Schweiz) 


Diese Person ist: 
[ 1 nur Anmelder 

[)(X| Anmelder und Erfmder 

1 — 1 nur Erfmder (Wird dieses Kastchen 

\ 1 angeh-euzt, so sind die nachstehenden 

Angaben nicht notig.) 


Registrierungsnr. des Anmelders beim Amt: 


Staatsangehorigkeit (Staat): 
CH 


Sitz Oder Wohnsitz (Staat): 
CH 


Diesc Person ist Amneldcr | | alle Bcstim- 1 | alle Bcsdmmungsstaatcn rait Ausnahmc CTl nur die Vcrcinigtcn 1 | die im Zusatzfeld 
fur folgende Staatcn: | — ) mimgsstaaten 1 1 der Vcrcinigtcn Staaten von Amerika rUi\ Staatcn von Amerika i_J angegebenen Staaten 


Name und Anschrift: (Familienname, Vomame: bez jttristischen Personen vollstandige amtliehe 
Bezeichnung, Bel der Anschrift sind die Postleitzahl und der Name des Staats anzugeben. Der in 
diesem Feld in der Anschrift angegebene Staat ist der Staat des Sitzes oder Wohnsitzes des 
Anmelders, st^em nachstehend kein Staat des Sitzes oder Wohnsitzes angegeben isL) 


Diese Person ist: 
1 1 nur Anmelder 

1 1 Anmelder und Erfmder 

1— 1 nur Erfinder (Wird dieses Kastchen 

1 1 angekreuzt, so sind die nachstehenden 

Angaben nicht notig.) 


Registriemngsnr. des Anmelders beim Amt: 


Staatsangehorigkeit (Staat): 


Sitz Oder Wohnsitz ^S/aaO: 


Diese Person ist Anmelder I | alle Bestim- 1 | alle Bcstimmungsstaaten mil Ausnahmc 1 | nur die Vcrcinigtcn | 1 die im Zusatzfeld 
iur folgende Staaten: 1— i mungsstaatcn L-~J der Vereinigtcn Staatcn von Amerika 1 1 Staaten von Amerika L_ 1 angegebenen Staaten 


Name und Anschnft: (Familienname, Vomame: beljuristischen Personen vollstandige amtliehe 
Bezeichnung. Bet der Anschriji sind die Postleitzahl und der Name des Siaats anzugeben, Der in 
diesem Feld in der Anschrift angegebene Staat ist der Staat des Sitzes oder Wohnsitzes des 
Anmelders, sofem nachstehend kein Staat des Sitzes oder Wohnsitzes angegeben ist.) 


Diese Person ist: 
1 1 nur Anmelder 

1 1 Anmelder imd Erfinder 

1 — 1 nur Erfmder (Wird dieses Kastchen 

\ 1 angekreuzt, so sind die nachstehenden 

Angaben nicht notig.) 


Registriemngsnr. des Anmelders beim Amt: 


Staatsangehorigkeit (Staat): 


Sitz oder Wohnsitz (Staat): 


Dicsc Person ist Anmelder 1 | alle Bcstim- 1 | alle BestimmunBStaaten mit Ausnahme 1 1 nur die Vereinigten | | die im Zusatzfeld 
fur folgende Staaten; 1 — 1 mungsstaatcn 1—1 der Vereinigten Staaten von Amerika 1 1 Staaten von Amerika 1 1 angegebenen Staaten 


Name und Anschrift: (Familienname^ Vomame; beljuristischen Personen vollstandige amtliehe 
Bezeichnung, Bel der Anschrift sind die Postleitzahl und der Name des Staats anzugeben. Der in 
diesem Feld in der Anschrift angegebene Staat ist der Staat des Sitzes oder Wohnsitzes des 
Anmelders, sofem nachstehend kein Staat des Sitzes oder Wohnsitzes angegeben ist.) 


Diese Person ist: 
1 1 nur Anmelder 

1 1 Anmelder und Erfinder 

1 — 1 nur Erfmder (Wird dieses Kastchen 

\ 1 angekreuzt, so sind die nachstehenden 

Angaben nicht notig.) 


Registriemngsnr. des Anmelders beim Amt: 


Staatsangehorigkeit (Staat): 


Sitz Oder Wohnsiu (Staat): 


Diese Person ist Anmelder 1 | alle Bcstim- | | alle Bcstimmungsstaaten mit Ausnahmc | 1 nur die Vcrcinigtcn 1 | die im Zusatzfeld 
fur folgende Staaten; I 1 mungsstaatcn 1 1 der Vcrcinigtcn Staatcn von Amerika 1 1 Staatcn von Amerika 1 1 angegebenen Staaten 


1 1 Weitere Anmelder imd/oder (weitere) Erfmder sind auf etnem zusStzHchen Fortsetzungsblatt angegeben. 



Formblatt PCT/RO/IOl (Fortsetzungsblatt) (Marz 2001 ; Nachdruck Juli 2002) Siehe Anmerkungen zu diesem Antragsformular 



BlattNr. -.3. 



PCT/CH 02/ 00 4 52 



Feld Nr. V BESTIMMUNG VON STAATEN Bitte dte aiispreckenden Kastchen ankreusen; wenig^teia dn Kastdm mtfi ang^reua werden. 



Die folgenden Bestinnnungen nach Regel 4.9 Absatz a werden hiennit vorgenoxnmen: 
Regionales Patent 

}B3 AP ARIPO-Patent: GH Ghana, CM Gambia, KE Kenia, LS Lesotho, MW Malawi. MZ Mosambik. SD Sudan, 
SL Sierra Leone, SZSwasiland,TZVercinigteRepublikTansania.UG Uganda, ZM Sanibia,ZW Simbabweundjederweitere 
Staat, der Vcrtragsstaat des Harare-Protokolls und des PCT ist ffhlls eine andere Schutzrechtsart oder ein sortstiges Vetfahren 

gewunschtwird, bitte auf der gepunktetenLinieangeben) 

£A Eurasisches Patent: AM Aimenien, AZ Aserbaidschan, BY Belarus, KG Kirgisistan, KZ Kasachstan, MD Republik 
Moldau, RU Russbche Federation, TJ Tadschikistan, TM Turtanenistan und jeder weitere Staat, der Vertragsstaat des 
Eurasischen Patentubereinkommens und des PCT ist 

}Q £P EuropSisches Patent: AT Osteireich, BE Belgien, BG Bulgarien, CH &LI Schweiz und Liechtenstein, CY Zypem, 
CZ Tschechiscbe Republik, D£ Deutschland, DK Danemark, ££ Estland, ES Spanien, FI Finnland, FR Frankreich, 
GB Vereinigtes Konlgreich. GR Griechenland, IE Irland, IT Italien, LU Luxemburg, MC Monaco, NL Kiederlande, 
PT Portugal, SE Schweden, SK Slowakei, TR Tiirkei und jeder weitere Staat, der Vertragsstaat des EuropSischen 
Patentiibereinkominens und des PCT ist 

EX OA OAPI-Patent: BF Burkina Faso, BJ Benin, CF Zentralafrikanische Republik, CG Kongo. CI Cote d'lvoire, CM Kamerun, 
GA Gabun, GN Guinea, GQ Aqnatorialguinea, GW Guinea-Bissau, ML Mali, MR Mauretanien, N£ Niger, SN Senegal, 
TD Tschad, TG Togo und jeder weitere Staat, der Vertragsstaat der OAPI und des PCT ist (falls eine andere Schutzrechtsart 
oder ein sonstiges Vetfahren gewSnseht wird, bitte auf der gepunkteten Lime angeben) 

Nationales Patent (falis eine andere Schutzrechtsart oder ein sonsdges Vetfahren g^wSnscht wird, bitte auf der gepunkteten Linie angAen): ' 

QCAE Vereinigte Arabische Bmirate ^GM Gambia EXnZ Neuseeland 

E3{ AG Antigua nnd Barbuda ^ HR Kroatien OM Oman 

Q(AL Albanien SHU Ungam E3CPH Philippinen 

Q(AM Armeraen ^ . , . . S ID Indonesien E3cPL Polen 

E3CAT Osterrcich . .-t ^^^^v S IL Israel @cPT Portugal 

EKaU Australien . . . .7?TT?f. :rfl\ Q IN Indien EScRO Rumanien 

E^AZ Aserbaidschan S IS Island QrU Russische Fodcration 

Q^BA Bosnien-Herzegovina 'EL JP Japan 

H^BB . Barbados S KE Kenia B SD Sudan 

EKbG Bulgarien S KG Kirgisistan El SE Schweden 

□^BR Brasilien jS KP Demokratische Volksrepublik 5G Singapur 

B^BY Belanis Korea B 51 Slowenien 

BCBZ Belize & KR Republik Korea Et SK Slowakei . . .+.GW 

E3CCA Kanada S KZ Kasachstan El SL Siena Leone 

E(CH & LI Schweiz und Liechtenstein S LC Saint Lucia El TJ Tadschikistan 

BCCN China ^ LK Sri Lanka Q TM Turkmenistan ; . . 

BCCO Kolumbien S LR Liberia S TN Tunesien 

0(CR Costa Rica LS Lesotho Bt TR Tiirkei 

BCCU Kuba }Q LT Litaucn QtT Trinidad und Tobago 

E(CZ Tschechiscbe Republik . .+ .Q!. }Q LU Luxemburg 

EJCDE Deutschland +. - . . . ^ LV Lettland O TZ Vereinigte Republik Tansania 

ElCDK Danemark *. CM jQ MA Marokko Q U A Ukraine 

□CDM Dominica M MB Republik Moldau S UG Uganda 

EKdz Algerien Q US Vereinigte Staaten von Amerika . . 

EK EC Ecuador )Q MG Madagaskar 

E3C EE Estland 4*. (M }S MK Die ehemalige jugoslawische S UZ Usbekistan 

EIwES Spanien Republik Mazedonien Q VN Vietnam 

KXfI Finnland +.Qil , . . MN Mongolei S YU higoslawien 

BCGB Vereinigtes Konigreich 5H MW Malawi Q ZA Siidafnka 

Q GD Grenada MX Mexiko S ZM Sambia 

B GE Georgien MZ Mosambik S ZW Simbabwe 

Hgh Ghana HH NO Norwegen 

Kastchen fiir die Bestimmung von Staatcn, die dem PCT nach der Veroffentlichung dieses Formblatts beigctrctcn sind. 

13: .vest... Vincent. .und. die... □ □ 

□ Grenadinen □ D 



Erklarung bzgl. vorsorglicher Bestimmungen: Zusatzlich zu den obcn genannten Bestimmungen nimmt der Anmelder nach 
Regel 4.9 Absatz b auch alle anderen nach dem PCT znlassigen Bestimmungen vor mit Ausnahme der im Zusatzfeld genannten 
Bestimmungen, die von dieser Erklarung ausgenommen sind. Der Anmelder crklart, daQ diese zusatzlichen Bestimmungen untcr dem 
Vorbehalt einer Bestatigung stehen undjcde zusatzliche Bestimmung. die vor Ablauf von 15 Monaten ab dem Prioritatsdatuni nicht 
bestatigt wurde, nach Ablauf dieser Frist als vom Anmelder zuruckgenommen gilt. (Die Bestatigung (einschliefilich der GebQhren) 
mufi beim Anmeldeamt innerhalb der Frist von J 5 Monaten eingehen.) ^ 



Fomiblatt PCT/RO/lOl (Blatt 2) (Juli 2002) Siehe Anmerkungen zu diesem Antragsformular 



BlattNr. .4... 



PCr/CH 02/ 00 452 



Anmeldedatum 
der fruheren Anmeldung 
(Tag/^onat/Jahr) 



Feld Nr. VI PRIORTTATSANSPRUCH 



Die Prioritat der folgcnden fruheren Annie!dung(en) wird hiennit in Anspnich genommen; 



Aktenzeichen 
der fruheren Anmeldung 



1st die fruhere Anmeldung eine: 



nadonale Anmeldung: 
Staat Oder Mitglied der VHTO 



FCgionale Anmeldung:* 
regionales Amt 



intemadonale Anmeldung: 
. Anmetdeamt 



Zeile(l) 



Zeile(2) 



Zeile(3) 



ZeUe(4) 



Zeile(5) 



I I Weitere Prioritatsanspruche sind im Zusatzfeld angegeben. 



Das Anmeldeamt wird ersucht, eine bcglaubigte Abschrift der oben bezcichneten fruheren Anmeldung(en) 
internationalen Buro ru ubermitteln (mir falls die fruhere Anmeldung(en) bei dem Amt eingereicht v^orden ist (sind), das fur die Zwecke 
dieser internationalen Anmeldung Anmeldeamt ist): we'terc siehe 

□ ^n*^ n Zexle(l) □ Zctle (2) □ Zeilea) □ Zeile (4) □ Zeile(5) □ ZusaSefdP ^ 
^FalkesstchbeiderfniherenAnmeldungum^neAIUPO'Anmeldunghande^^^^^ 

P^erV^bandsubminkunftzum Schu^des gewerbilchen Eigentumsoder Mitglied der Welthandelsorganisation istundjurden oderdas 
die fnihere Anmeldung eingereicht ywrde: 



Feld Nr. VH INTERNATIONALE RECHERCHENBEH6IU)E 



Wahl der internationalen Rccherchenbehorde aSA) 

derinter7iationalenRecherchezustandigsind.geben^edievonlh^^ 



ISA/. 



Antrag auf Nutzung der Ergebnisse einer fruheren Recherche; Bezugnahme auf diese frOhere Recherche (falb eme fruhere 
Recherche bei der internationalen Recherchenbehdrde beantragt oder von ihr durchgefuhrt yvorden tst): 
Datum (Tag/Monat/Jahr) Aktenzeichen Staat (oder regionales Amt) 



FeldNr.Vin ERKLARUNGEN 



Die Felder Nr. VIII (i) bis (v) enthalten die folgenden Erklarungen (Kreuzen Sie unten die entsprechenden 
Kastchen an und geben Sie in der rechten SpaltefHrJede Erklarung deren Anzahl an) : 



Anzahl der 
Erklarungen 



Feld Nr. VIII (i) Erklarung hinsichtlich der Idcntitat des Erfinders 

Feld Nr. Vffl (ii) ErklSrung hinsichtlich der Berechtigung des Anmelders, zum Zeitpunkt des 
internationalen Anmeldedatums, ein Patent zu beantragen und zu erhalten 

Erklarung hinsichtlich der Berechtigung des Anmelders, zum Zeitpunkt des 
internationalen Anmeldedatums. die Prioritat einer fruheren Anmeldung 
zu beanspruchen 

Feld Nr. VHI (iv) Erfmdercrklarung (nur ira Hinblick auf die Bestimmung der Vereinigten 
Staaten von Amerika) 

Feld Nr. VIII (v) Erklarung hinsichtlich unschadlicher Offenbarungen oder Ausnahmen 
von der Neuheitsschadlichkeit 



□ 
□ 

□ Feld Nr. VIII (Hi) 



□ 
□ 



1 (folgt) 



Formblatt PCT/RO/101 (Blan 3) (Juli 2002) 



Siehe Anmerkungen zu dlesem Amra^/ormular 



PCT/CH 02/ 00 452 



BlattNr. 



iFeldNr.DC KONTROIXISTE; EINREICHUNGSSPRACHE 





f Diesc intemationale Anmeldung enthSlt: 

I (a) die folgende Anzahl an 
Blattera Papier: 

Antrag (inklusive 
ErkJanmgsblatter) 

Beschreibung (ohne 
SequenzprotokoUteil) 

Anspriiche 

Zusammenfassung 

Zeichnungen 

Teilanzahl 



6 
21 
5 
1 

-5. 



38 



SequenzprotokoUteil der 
Beschreibung (Anzahl der 
Blatter, soweit auf Papier 
eingereicht wird, unabhdngig 
davon, ob zasatzUch 
audi in eomputerlesbarer 
Form eingereicht wireO 

Gesamtanzahl 



38 



1 (b) SequenzprotokoUteil der Beschreibung in 
eomputerlesbarer Form eingereicht 

(i) n ausschlieBlich in dieser Form (nach 
^ Abschnitt 801(a)(i)) 

(ii) n zusatzlich zur Einrcichung auf Papier 
(nach Abschnitt801(a)(ii)) 

Art und Anzahl der Datentrager piskette. 
CD-ROM. CD-R Oder sonstige), auf denen 
der SequenzprotokoUteil enthalten ist 
(zusatzlich eingereichte Kopien unter Punkt 9Cti) 
. ^ — ^ben)i 



in der rechten Spalte angeb 



Dieser intemationalen Anmeldung liegen die folgenden 
Unterlagen bei (kreuzen Sie die entsprechenden Kdstchen 
an und geben Sie in der rechten Spalte jeweils die Anzahl 
der beiliegenden Exemplare an) 

Blatt fur die Gebuhrenberechnung 



Anzahl 



9.n 



Original einer gesonderten Vollmacht f olgt 

Original einer aUgemeinen Vollmacht 

Kopie der allgemeinen Vollmacht; Aktenzeichen (falls 

vorhanden): 

BegrOndung fur das Fehlen einer Unterschrift 

Prioritatsbeleg(e), in Feld Nr. VI durch folgende 
Zeilennummer(n) gekennzeichnet: 

tJbersetzung der intemationalen Anmeldung in die 
folgende Sprache: 



I AbbUdung der Zeichnungen, die 
I mit der Zusammenfassung 
I verofFentlicht werden soU (Nr.): 



Gesonderte Angaben zu hinterlegten Mikroorganismen 
Oder andercm biologischen Material 
SequenzprotokoU in eomputerlesbarer Form (geben Sje 
zusatzlich die Ait und Anzahl der beiliegenden Datentrager 
an (Diskette, CD-ROM. CD-R oder sonstige)) 

(i) □ Kopie ausschlieBlich fur die Zwecke der 

intemationalen Recherche nach Regel 1 Zter (und 
nicht als Teil der intemationalen Anmeldung) 

(ii) n (nur falls Feld (b)0) oder (b)(ii) in der linken Spalte 

angekreuzt \vurde) zusatzliche Kopien einschlieBlich, 
soweit zutreffend. einer Kopie fur die Zwecke der 
intemationalen Recherche nach Regel 13fer 

(iii) □ zusammen mit entsprcchender Erklarung, daB die 

Kopie(n) mit dem in der linken Spalte aufgefuhiten 
SequenzprotokoUteU identisch ist (sind) 



10. □ Sonstige (einzeln auffuhren): 



Sprache, in der die 
intemationale Anmeldung 
eingereicht wird: 



Deutsch 



FldNrX wiScinOFT DES ANMELDERS, DES ANWALTS OD ER PES GEMEJ^SAMEN VERTRETEI^ 
erglbt, in welcher Eigenschaft die Person unteneichnet, ' 




. Aebischer 



Vom Anmeldcamt auszufullen 



1 . Datum des tatsachlichen Eingangs dieser 
intemationalen Anmeldung: 



1 6. Aug. 2002 ■ ( 16.08.02) 



3 GeSndertes Eingangsdatum aufgrund nachtraglich, jedoch 
msl^ereTht eingegf^^^ Unterlagen oder feichnungen zur 
Vervollstandigung dieser intemationalen Anmeldung. 



4. Datum des fnstgerechten Eingangs der angeforderten 
Richtigstellungen nach Artikel 1 1(2) PCT: 



5. Internationale Recherchenbehorde 

ffalls zwei oder mehr zustdndig sindj: i^J\ I 



6 I — I Obermittlung des Rccherchenexempjars 

I I bis zur Zahlung der Recherchengebuhr 

aufgeschoben 



2. Zeichnungen: 
I I eingegangen: 



□ nicht ein- 
gegangen: 




Formblatt PCT/RO/lOl (letztes Blatt) (Juli 2001; Nachdruck Juli 2002) 



Siehe Anmerkungen zu diesem Aniragtformular 



^ PCT/CH 02/ 00 45.2 



1 



Verfahren und System fQr GSM-Authentifizierung bei WLAN Roaming 

Die vorliegende Erfindung betrifft ein Verfahren und System fQr 
automatisches Roaming zwischen unterschledlichen WLANs und/oder 
GSM/GPRS/UMTS-Netzwerken. bei welchem zur Authentifizierung ein mobiler 
5 IP-Node Ober eine drahOose Schnlttstelle innerhalb einer Basic Service Area 
eines WLANs bei einem Access Sender Zugriff auf das WLAN fordert. wobel die 
Basic Service Area des WLAN ein oder mehrere dem Access Server 
zugeordnete Access Points umfasst. und der mobile IP-Node mittels eIner auf 
eIner SIM-Karte des mobilen IP-Nodes gespeicherte li\4SI authentifiziert wird. 
10 Insbesondere betrifft die Erfindung ein Verfahren fOr mobile Nodes in 
heterogenen WLANS. 

In den letzten Jahren ist weltwelt die Zahl der Internetbenutzer und 
damit der dort angebotenen Information exponentiell gestiegen. Obwohl jedoch 
das Internet weltweit Zugang zu Informationen bietet, hat der Benutzer 

15 normalenveise keinen Zugang dazu. bis er nicht an eInem bestlmmten 

Netzzugang, wie z.B. Im BQro, in der Schule. an der UniversitSt oder zu Hause, 
angeI<ommen ist. Das wachsende Angebot an IP-fShigen mobilen GerSten, wIe 
z.B. PDAs, Mobilfunkteiefonen und Laptops, beginnt unsere Vorsteilung vom 
Internet zu verandern. Ein anaioger Gbergang von fixen Nodes in Netzwerken 

20 zu flexibleren Anforderungen durch erhohte Mobilitat hat eben erst begonnen. 
In der Mobilfunktelefonie z.B. zeigt sich diese Tendenz u.a. auch an neuen 
Standards wie WAP, GPRS oder UMTS. Um den Unterschled zwischen der 
momentanen Realitat und den IP-VerbindungsmQglichkeiten derZukunftzu 
verstehen, kann man sich als Vergleich die Entwicklung der Teiefonie Richtung 

25 Mobilitat In den letzten zwanzig Jahren vors Auge rufen. Der Bedarf im privaten 
wie auch im geschaftlichen Bereich nach weitweitem unabhangigem drahtiosen 
Zugriff auf LANs (z.B. in FlughSfen, Konferenzzentren. Messegeianden, 
Stadten, etc., etc.) mit Laptops, PDAs etc. ist rieslg. Die WLANs, baslerend z.B. 
auf IP, bieten haute jedoch den Service nicht, wie er z.B. mit GSM/GPRS 

30 erzeugt wird, der ein freies Roaming der Benutzer eriauben wOrde. Diese 

Dienste mOssten neben Sicherheitsmechanismen wie im GSM/GPRS ebenfalls 
Moglichkeiten zur Service Autorisierung und zum Billing, d.h. Ven-echnen der 
beanspruchten Leistung etc., umfassen. Auf der anderen Seite wird ein solcher 
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Dienst auch nicht von bestehenden GSM/GPRS Betreibem angeboten. Es ist 
aber nicht nur das Roaming zwischen verschiedenen WLANs wichtig. Durch 
den grossen Wachstum bei der Informationsteclinologie mit WLANs (mit Zugriff 
auf Internet etc.) und dem ebenfalls grossen Wachstum in der 
5 Mobilfunktelefonie ist es sinnvoll, diese beiden Welten zu verknQpft. Erst die 
VerknQpfung der beiden Welten macht bei wireless LANs ein einfaches und 
automatisches Roaming moglich, wie es der Benutzer von der 
Mobilfunktechnologie gewohnt Ist. Somit besteht der Bedarf nach Anbietern. die 
zwischen unterschiedlichen WLAN-Dienstanbietern und zwischen WLAN- 
10 Dienstanbietern und GSM/GPRS-Dienstanbietern ein standartObergreifendes 
Roaming ermoglichen. 

Computemetze oder Local Area Networks (LAN) bestehen 
ubIichenA/eise aus sog. Nodes, welche verbunden sind uber physikalische 
Medien, wie z.B. Koaxialkabel. Twisted Pair oder optische Glasfaserkabel. 
15 Diese LANs werden auch als wired LANs (verdrahtete Festnetze) bezeichnet. In 
den letzten Jahren sind auch drahtlose LANs, sog. wireless LANs, immer 
popularer geworden (z.B. durch Entwicklungen wie das AirPort-System der 
Apple Computer, Inc. etc.). Wireless LANs sind spezlell geeignet. urn mobile 
Einheiten (Nodes), wie z.B. Laptops. Notebooks, PDAs (Personal Digital 
20 Assistant) oder Mobilfunkgerate. insbesondere Mobilfunktelefone, mit einer 
entsprechenden Schnittstelle in ein lokales Computernetzwerk einzubinden. Die 
mobilen Nodes besitzen einen Adapter, welcher einen Sender/Empfanger sowie 
eine Kontrolikarte umfasst (wie z.B. lnfrarot(IR)-Adapter oder einen 
Tieffrequenzradiowellen-Adapter). Der Vorteil von solchen mobilen Nodes ist. 
• 25 dass sie innerhalb der Reichweite des vyireless LANs frei bewegt werden 

kannen. Die mobilen Nodes kommunizieren entweder direkt miteinander (Peer- 
to-Peer wireless LAN) oder schicken ihr Signal an eine Basisstation, welche das 
Signal verstarkt und/oder weiterleitet Die Basisstationen konnen ebenfalls 
Bridgefunktionen umfassen. Ober solche Basisstationen mit Bridge-Funktionen, 
30 sog. Access Points (AP), konnen die mobilen Nodes des drahtlosen LAN auf 
ein wired LAN zugreifen. Typische Netzwerkfunktionen eines Access Points 
umfassen das Obertragen von Meldungen von einem mobilen Node zu einem 
anderen, das Senden von Meldungen vom wired LAN zu einem mobilen Node 
und das Obertragen von Meldungen eines mobilen Nodes auf das wired LAN. 
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Die physikalische Reichweite eines AP wird Basic Service Area (BSA) genannt. 
Befindet sich ein mobiler Node innerhalb der BSA eines AP, kann er mit diesem 
AP kommunizieren, falls der AP ebenfalls innerhalb der Signal-Relchweite 
(Dynamic Service Area (DSA)) des mobilen Nodes liegt. Mehrere APs slnd i.N. 

5 einem Access Server zugeordnet, der u.a. die Autorisierung der mobilen Nodes 
mittels einer Benutzerdatabank uberwacht und verwaltet Die gesamte Flache, 
die von den APs eines Access Servers abgedeckt wird, wird als sog. Hot Spot 
bezeichnet. Mobile Nodes besitzen typischenft^eise eine Signalstarke von 100 
mWatt bis zu eInem Watt. Um das wireless LAN mit dem wired LAN zu 

10 verbinden, 1st es fOr den AP wichtig zu bestimmen. ob eine bestimmte Meldung 
(information frame) auf dem Netz fQr einen Node bestimmt ist, der innerhalb des 
wired LAN oder innerhalb des wireless LAN liegt. und diese Information, falls 
notwendig. an den entsprechenden Node weiterzuleiten. FQr diesen Zweck 
besitzen APs sog. Bridge-Funktionen, z.B. entsprechend dem Standard IEEE 

15 Std 802.1D-1990 "Media Access Control Bridge" (31-74 ff). Bei solchen 

Bridgefunktionen wird ein neuer mobiler Node im wireless LAN typischerweise 
in einer FDB (Filtering Database) des AP registriert, in dessen Reichweite der 
Node iiegt Bei jedem Information-Frame auf dem LAN vergleicht der AP die 
Zieladresse mit den Adressen (MAC-Adressen (Media Access Control 

20 Addresses)), welche er im FDB abgespelchert hat und sendet, venwirft oder 
Dbertragt den Frame auf das wired LAN bzw. auf das wireless LAN. 

Bel mobiler Netzwerkbenutzung sollte ein bestehender IP-Zugriff von 
Applikationen auf dem mobilen Node nicht unterbrochen werden, wenn der 
Benutzer seinen Standort im Netzwerk andert. Im Gegenteil sollten alle 

25 Verbindungs- und Schnittstellenanderungen z.B. bei einem Wechsel in 
unterschiedlichen Hot Spots, insbesondere unterschiedllchen Netzwerken 
(Ethernet, Mobilfunknetz, WLAN, Bluetooth etc.) automatisch und nicht 
interaktiv geschehen konnen, so dass der Benutzer davon nicht einmal 
Kenntnis zu haben braucht. Dies gilt auch z.B. wahrend der Benutzung von 

30 Real-Time Applikationen. Wirkliches mobiles IP-Computing weist viele Vorteile 
basierend auf einem jederzeltigen stabilen Zugang zum Internet auf. Mit einem 
solchen Zugang lasst sich die Arbeit frei und unabhangig vom Schreibtisch 
gestalten. Die Anforderungen an mobile Nodes in Netzwerken unterscheidet 
sich aber von der eingangs enArShnten Entwicklung in der Mobilfunktechnik auf 
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verschiedene Arten. Die Endpunkte im Mobilfunk sind gewohnlich Menschen. 
Bei mobilen Nodes konnen aber Computerapplikationen Interaktionen zwischen 
anderen Netzteilnehmem ohne jegliches menschliches Zutun oder Eingreifen 
ausfuhren. Belspiele dazu finden sich in Flugzeugen, Schlffen und Aulomobilen 
5 zu GenQge. So kann insbesondere mobiles Computing mit Internet Zugriff 
zusammen mit anderen Applikationen wie z.B. in Kombination mit 
Positionsbestimmungsgeraten, wie dem satellitenbasierenden GPS (Global 
Positioning System) sinnvoll sein. 

Eines der Probleme beim mobilen Netzwerkzugriff via Internet Proto- 

10 koll (IP) ist, dass das IP-ProtokoIl, welches dazu benutzt wird, die Datenpakete 
von der Quelladresse (Source Address) zur Zieladresse (Destination Address) 
im Netz zu routen, sog. IP-Adressen (IP: Intemet Protocol) benutzt. Diese 
Adressen sind einem fasten Standort im Netzwerk zugeordnet, ahnlich wie die 
Telefonnummern des Festnetzes einer physikalischen Dose zugeordnet sind. 

15 Wenn die Zieladresse der Datenpakete ein mobiler Node ist, bedeutet das, 
dass bei jedem Netzwerkstandortwechsel eine neue IP-Netzwerkadresse zu- 
geordnet werden muss, was den transparenten, mobilen Zugriff verunmogliclit 
Diese Probleme wurden durch den Mobile IP Standart (IETF RFC 2002, Okt. 
1996) der Internet Engineering Task Force (IETF) gelost, indem das Mobile IP 

20 dem mobilen Node eriaubt, zwei IP-Adressen zu benutzen. Die eine davon ist 
die normale, statische IP-Adresse (Home-Adresse), die den Ort des Heim- 
netzes angibt, wahrend die zweite eine dynamische IP Care-Of-Adresse ist, die 
den aktuellen Standort des mobilen Nodes im Netz bezeichnet. Die Zuordnung 
der beiden Adressen eriaubt es, die IP-Datenpakete an die richtige, momentane 

25 Adresse des mobilen Nodes umzuleiten. 

Eine der hSufigst verwendeten Protokolle zur Authentifizierung eines 
Benutzers in einem wireless LAN ist das opensource Protokoll IEEE 802.1 x (in 
der aktuellen Version 802.1 1 ) der Institute of Electrical and Electronics 
Engineers Standards Association. Die IEEE 802.1x Authentifizierung eriaubt 
30 den authentifizierten Zugriff auf IEEE 802 Medien, wie z.B. Etliemet, Tokenring 
und/oder 802.1 1 wireless LAN. Das 802.1 1 Protokoll erzeugt fOr wireless LAN, 
d.h. fur drahtiose, lokale Netzwerke, eine 1 Mbps, 2 Mbps oder 1 1 Mbps 
Obertragung im 2.4 GHz Band, wobei entweder FHSS (Frequency Hopping 
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Spread Spectrum) oder DSSS (Direct Sequence Spread Spectrum) benutzt 
wird. 802.1X unterstutztzur Authentifizierung EAP (Extensible Authentication 
Protocol) und TLS (Wireless Transport Layer Security). 802.1 1 unterstutzt 
ebenfalls RADIUS. Obwohl die RADIUS-UnterstOtzung bei 802.1x optional ist. 
istzu erwarten, dass die meisten 802.1x Authenticators RADIUS unterstutzen 
werden. Das IEEE 802.1x Protokoll ist ein sog. Port-basierendes 
Authentifizierungsprotokoll. Es kann in jeder Umgebung venA^endet werden. in 
welcher ein Port. d.h. eine Interface eines Gerates, bestimmt werden kann. Bei 
der Authentifizierung basierend auf 802.1x konnen drei Einheiten unterschieden 
werden. Das GerSt des Benutzers (Supplicant/Client), den Authenticator und 
den Authentifikationsserver. Der Authenticator ist dafQr zustandig, den 
Supplicant zu authentiflzieren. Authenticator und Supplicant sind beispielswelse 
uber ein Point-to-Point LAN Segment oder eine 802.11 wireless Link 
verbunden. Authenticator und Supplicant besitzen einen definierten Port, eine 
sog. Port Access Entity (PAE). die einen physikalischen oderyirtueilen 802.1x 
Port definlert. Der Authentifikationsserver erzeugt die vom Authenticator 
benotigten Authentlfikationsdienste. So verifiziert er die vom Supplicant 
gelieferten Berechtigungsdaten bezuglich der beanspruchten Identitat. 

Die Authentifikationssers^er basieren meistens auf RADIUS (Remote 
Authentication Dial-In User Service) der IETF (Internet Engineering Task 
Force), Die Benutzung des RADIUS Authentifizierungsprotokoll und 
Accountsystems ist weit verbreitet bei Netzwerkeinheiten, wie z.B. Router, 
Modemserver. Switch eta und wird von den meisten Internet Service Provldern 
(ISP) benutzt. Wahit sich ein Benutzer bei einem ISP ein, muss er 
normalerweise einen Benutzernamen und ein Passwort eingeben. Der 
RADIUS-Server Oberpruft diese Information und autorisiert den Benutzer zum 
ISP-System. Der Grund fOr die Verbreitung von RADIUS liegt u.a. darin, dass 
Netzwerkeinheiten Im allgemelnen nicht mit elner sehr grossen Anzahl 
Netzbenutzer mit jeweils unterschiedlicher Authentifizierungsinformation 
umgehen konnen, da dies z.B. die Speicherkapazitat der einzelnen 
Netzwerkeinheiten ubersteigen wurde. RADIUS eriaubt die zentrale Verwaltung 
von einer Vielzahl von Netzwerkbenutzern (Hinzufugen, Loschen von Benutzern 
etc.). So Ist das z.B. bei ISP (Internet Service Providern) eine notwendige 
Voraussetzung fOr ihren Dienst, da ihre Benutzeranzahl haufig mehrere tausend 
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bis mehrere zehntausend Benutzer umfasst RADIUS erzeugt weiter einen 
bestimmten permanenten Schutz vor Hackem. Die Remoteauthentifiziemng von 
RADIUS baslerend auf TACACS+ (Terminal Access Controller Access Control 
System+) und LDAP (Lightweight Directory Access Protocol) ist gegen Hacker 
5 relativ sicher. Viele andere Remote Authentifiziemngsprotokolle haben dagegen 
nur einen zeitweisen, ungenugenden oder gar keinen Schutz vor 
Hackerangriffen, Ein andere Vorteil ist, dass RADIUS zurzeit der de-facto 
Standard fur Remote Authentifizierung ist, womit RADIUS auch von fast alien 
Systemen unterstutzt wird. was bei anderen Protokollen nicht der Fall ist. 

10 Das oben envahnte Extensible Authentication Protocol (EAP) ist 

eigentlich eine En/veitemng zum PPP (Point-to-Point Protocol) und ist definiert 
durch das Request for Comments (RFC) 2284 PPP Extensible Authentication 
Protocol (EAP) der IETF. Miltels PPP lasst sich ein Computer z.B. an den 
Server eines ISP anbinden. PPP arbeitet im Data Link Layer des OSI Model 

15 und schickt die TCP/IP-Packete des Computers an den Server des ISP, der das 
Interface zum Internet bildet. Im Gegensatz zum alteren SLIP Protokoll (Serial 
Line Internet Protocol) arbeitet PPP stabiler und besitzt Fehlerkon-ekturen. Das 
Extensible Authentication Protocol Ist ein Protokoll auf einem sehr allgemeinen 
Level, das die verschiedensten Authentifizierungsverfahren unterstQtzt. wie z,B. 

20 Token Cards. Kerberos des Massachusetts Institute of Technology (MIT), 

Streichlisten-Passwdrter, Zertifikate, Public Key Authentication und Smartcards 
Oder sog. Integrated Circuit Cards (ICC), IEEE 802.1 x definiert die 
Spezifikationen, wie EAP in die LAN-Frames intergriert sein mQssen. Bei 
Kommunikation in drahtlosen Netzwerken mittels EAP verlangt ein Benutzer 
■ 25 Qber die drahtlose Kommunikation bei einen Access Point (AP), d.h. eines 

Verbindungs-HUP fur den Remote Access Client oder Supplicant zum WLAN, 
Zugriff auf das wireless LAN. Der AP fordert darauf vom Supplicant die 
Identifikation des Benutzers und Qbermittelt die Identifikation an den oben 
genannten Authentifikationsserver, der z.B. auf RADIUS basiert. Der 

30 Authentifikationsserver lasst den Access Point die Identifikation des Benutzers 
ruckuberprufen. Der AP holt sich diese Authentifizierungsdaten vom Supplicant 
und Qbermittelt diese an den Authentifikationsserver, der die Authentifizierung 
beendet. 
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Bei EAP erzeugt ein beliebiges Authentifizierungsverfahren eine 
Remote Access Verbindung. Das genaue Authentifikationsschema wird jeweils 
zwischen dem Supplicant und dem Authenticator (d.h. dem Remote Access 
Server, dem Internet Authentification Service (IAS) Server bzw. bei WLAN dem 
5 Access Point) festgelegt. Wie oben erwahnt, unterstutzt EAP dabei viele 
unterschiedliche Autlientifikationsscliemata. wie z.B, generisclie Token Card. 
MD5-Challenge. Transport Level Security (TLS) fur Smartcards, S/Key und 
mogliche zukunftlge Autlientifizierungstechnologien. EAP eriaubt eine von der 
Anzahl nicht beschrankte Frage-Antwort-Kommunikation zwischen Supplicant 

10 und Authenticator. wobei der Authenticator bzw. der Authentifikationsserver 
spezifische Authentifizierungsinformation verlangt und der Supplicant, d.h. der 
Remote Access Client antwortet. Beispielsweise kann der 
Authentifikationsserver uber den Authenticator bei den sog. Security Token 
Cards einzein zuerst einen Benutzernamen, dann eine PIN (Personal Identity- 

15 Number) und schlussendlich einen Token Card Value vom Supplicant 
verlangen. Bei jedem Frage-Antwort-Durchgang wird dabei ein weiterer 
Authentifizierungslevel durchgefUhrt. Werden alle Authentlfizierungsievel 
erfolgreich beantwortet, ist der Supplicant authentlfiziert. Ein spezifisches EAP 
Authentifikationsschema wird als EAP-Typ bezeichnet. Beide Seiten. d.h. 

20 Supplicant und Authenticator mOssen den gleichen EAP-Typ unterstQtzen, 
damit die Authentifizierung durchgefilhrt werden kann. Wie en/vShnt, wird dies 
zu Beginn zwischen Supplicant und Authenticator festgelegt. 
Authentifikationsserver baslerend auf RADIUS unterstQtzen im Normalfall EAP, 
was die MOglichkeit gibt, EAP-Meldungen an einen RADIUS-Setver zu 

25 schicken. 

Im Stand der Technik sind ebenfalls EAP-basierende Verfahren zur 
Authentifizierung eines Benutzers und zur Vergabe von Sessions Keys an den 
Benutzer mittels des GSM Subscriber Identity Modul (SIM) bekannt. Die GSM 
Authentifizierung basiert auf einem Frage-Antwort-Verfahren, einem sog. 
30 Challenge-Response Verfahren. Dem Authentifikationsalgorithmus der SIM- 
Karte wird als Challenge (Frage) eine 128-bit Zufallszahl (Oblicherweise 
bezeichnet als RAND) gegeben. Auf der SIM-Karte lauft dann ein ftir den 
jeweiligen Operator spezifischen, vertraulichen Algorithmus, der als Input die 
Zufallszahl F?AND und einen geheimen, auf der SIM-Karte gespeicherten 
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Schliissel Ki erhalt und daraus eine 32-bit Antwort (SRES) und ein 64-bit 
SchlOssel Kc generlert. Kc ist zur VersclilOsslung des Datentransfers uber 
drahtlose Sclinlttstellen gedaclit (GSM Technical Specification GSM 03.20 
(ETS 300 534): "Digital cellular telecommunication system (Phase 2); Security 
5 related network functions", European Telecommunications Standards institute, 
August 1997). Bel der EAP/SIM Authentifizierung warden mehrere RAND 
Challenge zum Generieren von mehreren 64-bit Kc SchlUsseIn verwendet. 
Diese Kc-Schlussel werden zu einem langeren Session Key Itombiniert. Mit 
EAP/SIM erweitert das nomiale GSM Authentlfizierungsverfahren, indem die 
10 RAND-Challenges zusStzlich einen Message Authentlfication Code (MAC) 
besitzen, um gegenseitige Authentifizierung zu erzeugen. Um die GSM- 
Authentifizierung durchzufQhren, sollte der Authentifikationssen/er ein Interface 
zum GSM-Netzwerk besitzen. Der Authentifikationsserver arbeitet folgiich ais 
ein Gateway zwischen Internet Authentlfication Service (IAS) Server Netzwerk 
15 und der GSM Authentifikatlonsinfrastruktur. Zu Beginn der EAP/SIM 

Authentifizierung verlangt der Authentifikationsserver mit eInem ersten EAP- 
Request durch den Authenticator vom Supplicant u.a. die international Mobile 
Subscriber Identity (IMSI) des Benutzers. Mit der IMSI erhalt der 
Authentifikationsserver auf Anfrage vom Authentif ikationszenter (AuC) des 
20 entsprechenden Mobilfunknetz-Dienstanbieter, Oblichenweise im GSM-Netzwerk 
als Home Location Register (HLR) bzw. Visitor Location Register (VLR) 
bezelchnet, n GSM Triplets. Von den Triplets erhalt der Authentifikationsserver 
ein Message Authentlflcatfon Code fOr n*RAND und eine Lebensdauer fOr den 
SchlQssel (zusammen MAC_RAND) sowie einen Session SchlOssel. Mit diesen 
25 kann der Authentifikationsserver die GSM-Authentifizierung auf der SIM-Karte 
des Supplicant bzw. des Benutzers durchfiihren. Da RAND zusammen mit dem 
Message Authentlfication Code MAC_RAND an den Supplicant gegeben wird. 
vArd es fQr den Supplicant mSglich zu QberprQfen, ob die RANDs neu sind und 
durch das GSM-Netzwerk generlert wurden. 

30 Der Stand der Technik hat jedoch verschiedenste Nachtelle. Zwar ist 

es megiich, z.B. mit einer EAP-SIM Authentifizierung die 
Authentlfizierungsverfahren von den GSM-Netzwerken in der wireless LAN- 
Technologle zur Authentifizierung von Supplicants bzw. Remote Access Clients 
zu venwenden, vorausgesetzt der Benutzer besitzt eine IMSI bel einem GSM 
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Dienstanbieter. Ebenso ist es prinzipiell moglich, mittels z.B. Mobile IP der IETF 
(Internet Engineering Task Force) Datenstrome zum entsprechenden bei einem 
Access Servers Qber einen Access Point angemeldeten mobilen Remote 
Access Client umzulelten (routen). Damit sind jedoch bei weitem nicht alle 

5 Probleme der mobilen Netzwerkbenutzung gelost, welche ein wirklich freies 
Roaming des Benutzers eriauben wOrden. Eines der Probleme Ist, dass im IP- 
Netzwerk die im GSM Standart benotigten Voraussetzungen bezQglich 
Sicherheit, Billing und Service Autorisierung nicht mehr gegeben ist Dies hangt 
intrinsisch mit deroffenen Architektur des IP-ProtokoIles zusammen. D.h., viele 

10 Informationen fehlen im IP-Standard, die zur vollen Kompatibilitat mit den GSM- 
Netzwerken unbedingt benotigt werden. Zudem liefert ein Access Server 
beruhend z.B. auf RADIUS ein einzelner Datenstrom, Dieser kann nicht ohne 
weiteres auf den mehrteiiigen Datenstrom des GSM-Standards gemappt 
werden. Ein anderer Nachteil des Standes der Technik ist, dass wireless LAN 

15 heute auf individuellen Hot Spots (d.h, der Basic Service Area der Access 

Points eines Access Servers) beruhen, die von unterschiedlichen Software- und 
Hardwareentwicklern der ganzen Welt angeboten werden. Dies erschwert die 
Zusammenfuhrung beider Welten, da solche Gateway-Funktionen jeweils an 
die spezifjsche Losung angepasst werden mQssen. Die technischen 

20 Spezifikationen zum GSM Authentifikations-lnterface kSnne in MAP (Mobile 
Application Part) GSM 09.02 Phase 1 Version 3.10.0 gefunden werden. 

Es ist eine Aufgabe dieser Erfindung. ein neues Verfahren fur mobile 
Nodes in heterogenen WLANs vorzuschlagen. Insbesondere soli einem 
Benutzer ermoglicht werden, problemlos sich zwischen verschiedenen Hot 

25 Spots zu bewegen (roaming), ohne dass er sich um Anmeldung, Billing, Service 
Autorlsation etc. bei den verschiedenen WLAN-Dienstanbietern bemOhen 
mOsste, d.h. den gleichen Komfort geniesst, wie er es von der 
Mobilfunktechnologie , wie z.B. GSM. gewohnt ist. Die Erfindung soil die 
benotigten Komponenten fur Billing, Sen/ice Autorisierung und Sicherheit fur 

30 den Benutzer und Serviceanbieter in WLANs sicherstellen. 

Gemass der vorliegenden Erfindung werden diese Ziele insbeson- 
dere durch die Elemente der unabhangigen AnsprOche erreicht Weitere vor- 
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teilhafte Ausfuhrungsformen gehen ausserdem aus den abhangigen Ansprtl- 
chen und der Beschreibung hervor. 

Insbesondere werden diese Ziele durch die Erfindung dadurch er- 
reicht. dass zwischen heterogenen WLANs und/oder GSM/GPRS/UMTS- 

5 Netzwerken zur Authentifizierung ein mobiler IP-Node uber eine drahtlose 
Schnittstelle innerhalb einer Basic Service Area eines WLANs be! einem 
Access Point Zugriff auf das WLAN fordert. welche Basic Service Area des 
WLAN ein oder mehrere einem Access Server zugeordnete Access Points 
umfasst, dass der mobile IP-Node auf einen Request des Access Sen/ers eine 

10 auf einer SII\/l-Karte des mobilen IP-Nodes gespeicherte IMSI an den Access 
Server Qbermlttelt und dass mittels eines SIM-RADIUS-Moduls die IMSI des IP- 
Nodes gespeichert wird, wobei basierend auf der IMSI mittels von in einer SIM- 
Benutzerdatenbanl< abgespeicherten Informationen der logischen IP- 
Datenkanal des WLAN zu entsprechenden GSM-Daten fur Signal- Und 

15 Datenkanaie eines GSM-Netzwerkes benutzerspezifisch ergSnzt wird, wobel 
mittels eines SIM-Gateway-Moduls zur Durchfuhrung der Authentifizierung des 
IP-Nodes basierend auf den GSM-Daten die notwendigen SS7/MAP- 
Funktionen (Authentifikation und/oder Autorisation und/oder 
Konfigurationsinformationen) generiert werden, wobei das SIM-RADIUS-Modul 

20 mittels SIM-Benutzerdatenbank und SIM-Gateway-Moduls die Authentifizierung 
des mobilen IP-Nodes basierend auf der IMSI der SIM-Karte des mobilen 
Nodes bei einem HLR und/oder VLR eines GSM-Netzwerkes durchfOhrt. und 
wobei bei erfolgreicher Authentifizierung ein Location Update sowie eine 
Sen/ice Autorisiemng beim HLR und/oder VLR durchgefuhrt wird und der 

25 mobile IP-Node in einer Customer Database des Access Servers einen 
entsprechenden Eintrag erhSIt, wobel das WLAN zur Benutzung durch den 
mobilen IP-Node freigegeben wird. Bei erfolgreicher Authentifizierung kann als 
AusfQhrungsvariante zusStzlich zum Location Update beim HLR und/oder VLR 
eine Autorisierung des mobilen IP-Nodes durchgefOhrt werden, wobei beim 

30 HLR und/oder VLR ein entsprechendes Benutzerprofil basierend auf der IMS! 
heruntergelanden wird. D.h. die Service Autorisierung des Benutzers baslert auf 
der Abfrage des entsprechenden Benutzerprofils (Enduserprofil) beim HLR 
und/oder VLR. Das Genannte hat u.a. den Vorteil, dass ein automatisches 
Roaming zwischen unterschiedlichen und heterogenen WLANs und GSM- 
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Netzwerken moglich wird. Durch das Verbinden der WLAN-Technologie,. 
insbesondere der IP-Netzwerke. mit der GSM-Technologie wird das Roaming 
des Benutzers moglich, ohne dass ersich um Anmeldung, Billing, Service 
Autorisation etc. be! den verschiedenen WLAN-Dienstanbietem bemOhen 
5 mQsste, d.h., dass der Benutzer den gleichen Komfort genlesst, wie er es von 
der Mobilfunktechnologle, wle 2.B. GSM. gewohnt ist. Gleichzeitig ist es auf 
eine vollig neue Art moglich, die Vorteile der offenen IP-Welt (Zugang zum 
weltweiten Internet etc) mit den Vorteilen des GSM-Standards (Sicherheit. 
Billing, Service Autorisation eta) zu verbinden. Die Erfindung eriaubt auch ein 
10 Verfahren fQr ein Roaming in WLANs zu erzeugen, ohne dass bei jedem 
Access Server In entsprechendes Modul eingebaut werden mQsste. Im 
Gegenteil kann die Infrastruktur (WLAN/GSM) durch die VenA^endung von 
RADIUS unverSndert Qbernommen werden. 

In einer AusfQhrungsvariante wird fur die Authentiflzierung des 
15 mobilen IP-Nodes die auf der SIM-Karte des mobilen IP-Nodes gespeicherte 
IMSI nur bis zu einem Oder mehreren der ersten Authentifikationsschritte 
benutzt und bei alien weiteren Authentifikationsschritten die IMSI durch eine 
generierte tempor^re IMSI (TIMSI) ersetzt wird. Dies hat u.a. den Vorteil. dass 
die Sicherheit wahrend der Authentifikation bzw. Autorisation erhoht werden 
20 kann. 

In einer AusfQhrungsvariante wird die Authentiflzierung des mobilen 
IP-Nodes mittels Extensible Authentication Protocol durchgefQhrt. Dies hat u.a. 
den Vorteil, dass in Kombination mit RADIUS ein vollstSndig Hardware und 
Hersteller (Vendor) unabhangiges Verfahren erzeugt wird, Insbesondere bietet 
25 EAP die notwendigen Sicherheitsmechanismen zur Durchfuhmng der 
Authentiflzierung. 

In einer AusfQhrungsvariante wird der Datenstrom des mobilen IP- 
Nodes beim Zugriff auf das WLAN vom Access Point uber einen 
Mobilfunknetzdienstanbieter geleitet. Dies hat u.a. den Vorteil, dass der 
30 Mobilfunknetzdienstanbieter vollstandige Kontrolle Qber den Datenfluss hat. So 
kann er spezifisch Service Autorisationen vergeben, detailliertes Billing 
durchfOhren, Sicherheitsmechanismen einbauen und/oder personalisierte 
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Dienste anbieten. U.a. kann er damit die offene. schwierig zu kontrollierende IP- 
Welt mit beispielsweise dam Internet, mit den Vorteilen der GSM-Welt 
verbinden. Dies spielt gerade In neuerer Zeit z.B. bezQglich Haftungsfragen des 
Providers oder Dienstanbieters sine grosse Rolle. 

5 In einer anderen Ausfuhrungsvariante erteilt der 

Mobilfunknetzdienstanbieter basierend auf der Authentifizierung mittels der 
IMSI die entsprechende Sen/ice Autorlsierung zur Benutzung unterschiedlicher 
Dienste und/oder fQlirt das Billing der beanspruchten Lelstung durch. Diese 
AusfQhrungsvariante hat u.a. die glelchen Vorteile wie die vorliergehende 

10 AusfQhrungsvariante. 

In einer weiteren Ausfuhrungsvariante ist die SIM- 
Benutzerdatenbank mit einer Sync-Datenbank zum Verandern oder Loschen 
von bestehenden Benutzerdatensatzen oder zum EinfQgen neuer 
Benutzerdatensatze verbunden, wobei der Abgleich der Datenbanken 

15 periodisch durchgefQhrt wird und/oder durch VerSnderungen der Sync- 
Datenbank und/oder durch Ausfall der SIM-Benutzerdatenbank ausgel5st wird. 
Dies hat den Vorteil, dass die Mobilfunknetzbetreiber zum Verandern oder 
Loschen von bestehenden Benutzerdatensatzen oder zum Einfugen neuer 
Benutzerdatensatze in gleicher Weise verfahren kOnnen wie bisher mit ihren 

20 Benutzerdatenbanken, dass heisst, ohne dass sie zusatzliche Systeme kaufen 
Oder warten mOssten. 

In einer Ausfuhrungsvariante werden mittels eines Clearing-Moduls 
fOr das Billing die Billing-Records der heterogenen WLANs mit den 
Benutzerdaten synchronlsiert und basierend auf dem GSM-Standard TAP 
25 aufbereitet. Dies hat u.a, den Vorteil, dass Dienstabieter ohne Modifikation ihrer 
Software und/oder Hardware das vom GSM-Standard gewohnte Clearing- und 
Billingverfahren verwenden konnen. Insbesondere erfolgt damit auch die 
restliche Aufschlusselung des IP-Datenstroms In einen GSM-Datenstrom. 

An dieser Stelle soli festgehalten werden, dass sich die vorliegende 
30 Erfindung neben dem erfindungsgemassen Verfahren auch auf ein System zur 
AusfQhrung dieses Verfahrens bezieht. 
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Nachfolgend werden Ausfuhrungsvarianten der vorliegenden Erfin- 
dung anhand von Beispielen beschrieben. Die Beispiele der Ausfuhnjngen wer- 
den durch folgende beigelegten Figuren illustriert: 

Figur 1 zeigt ein Blockdiagramm, welches schematisch ein 
5 erfindungsgemasses Verfahren und eine System fur automatisches Roaming 
zwischen heterogenen WLANs und/oder GSM/GPRS/UMTS-Netzwerken 
illustriert, wobei mobile IP-Nodes 20 uber eine kontaktbehaftete Schnittstelle mit 
einer SIM-Karte 201 und/oder ESIM (Electronic SIM) verbunden sind und 
mittels einer drahtlosen Verbindung 48 auf Access Points 21/22 des WLAN 
10 zugreifen. Ein Access Server 23 des WLAN authentifiziert den mobilen IP-Node 
20 basierend auf einer auf der SIM-Karte 201 abgespeicherten IMSI bei einem 
HLR 37 und/oder VLR 37 eines GSM Mobilfunknetzes. 



Figur 2 zeigt ein Blockdiagramm, welches schematisch ebenfalls ein 
erfindungsgemasses Verfahren und eine System fur automatisches Roaming 

15 zwischen heterogenen WLANs und/oder GSM/GPRS/UMTS-Netzwerken 

illustriert, wobei mobile IP-Nodes 20 uber eine kontaktbehaftete Schnittstelle mit 
einer SIM-Karte 201 verbunden sind und mittels einer drahtlose Verbindung 48 
auf ein WLAN zugreifen. Das VVLAN ist Qber einen Access Server 23 mit einem 
GSM Mobllfunknetz, insbesondere einem HLR 37 und/oder VLR 37, einem 

20 GGSN (Gateway GPRS Support Node) 50 Uber ein GRX-Modul 51 (GRX: 
GPRS Roaming eXchange), einen Internet Sen^lce Provider 52 und einen 
Clearing Provider 53 fur das Clearing der beanspruchten Leistungen uber einen 
Clearing System Operator 54 mit dem entsprechenden Billing-System 55 des 
Internet Service Providers 52 verbunden. Die Referenznummem 60-64 sind 

25 bidirektionale Netzwerkverbindungen. ' 

Figur 3 zeigt ein Blockdiagramm, welches schematisch ein Verfahren 
und eine System fOr automatisches Roaming zwischen heterogenen WLANs 
und/oder GSM/GPRS/UMTS-Netzwerken illustriert, wobei die offene IP-Welt 
mittels dem erfindungsgemassen Verfahren und System uber Schnittstellen der 
30 Authentifizierung 371 und Autorisierung 372 (SS7/MAP), Service Autorisierung 
531 und Billing 532 mit der restriktiveren GSM-Welt verbunden sind. 
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Figur 4 zeigt ein Blockdiagramm. welches schematisch den Aufbau 
eines IEEE 802.1x Port-basierendes Authentifikationsverfahren iilustriert, wobei 
der Supplicant oder Remote Access Client 20 Qber ein Authenticator oder 
Remote Access Sender 21 bei einem Authentifikations-Server 23 authentlfiziert 
5 wird, wobei das WLAN auf IEEE 802.1 1 basiert. 

Figur 5 zeigt ein Blockdiagramm, weiches schematisch eine 
mogliche Ausfuhrungsvariante zur SIM-Authentifiziemng mittels Extensible 
Authentification Protocol (EAP) iilustriert, wobei ein GSM baslertes Challenge- 
Response Verfahren verwendet wird. 

10 Figur 1 iilustriert eine Architektur, die zur Realisierung der Erfindung 

verwendet warden kann. Figur 1 zeigt ein Blockdiagramm, welches 
schematisch ein erfindungsgemasses Verfahren und ein System fQr 
automatisches Roaming zwischen heterogenen WLANs und/oder 
GSM/GPRS/UMTS-Netzwerken Iilustriert. In der Figur 1 bezieht sich das 

15 Bezugszeichen 20 auf einen mobile IP-Node, welcher Qber die notwendige 
Infrastruktur, einschliesslich Hardware- und Softwarekomponenten verfugt, urn 
ein beschriebenes erfindungsgemasses Verfahren und/oder System zu 
realisieren. Unter mobile Nodes 20 sind u.a. alle moglichen sog. Customer 
Premise Equipment (CPE) zu verstehen, die zur Benutzung an verschiedenen 

20 Netzwerkstandorten und/oder verschiedenen Netzwerken vorgesehen sind, 
Diese umfassen beispielsweise samtlich IP-fahigen Gerate wie z.B. PDAs, 
Mobilfunktelefone und Laptops. Die mobilen CPEs oder Nodes 20 besitzen ein 
Oder mehrere verschiedene physikalische Netzwerkschnittstellen, die auch 
mehrere unterschiedliche Netzwerkstandards unterstQtzen konnen. Die 

25 physikalischen Netzwerkschnittstellen des mobilen Nodes kdnnen z.B. 

Schnittstellen zu WLAN (Wireless Local Area Network), Bluetooth, GSIVI (Global 
System for Mobile Communication), GPRS (Generalized Packet Radio Service), 
USSD (Unstructured Supplementary Services Data), UiVlTS (Universal Mobile 
Telecommunications System) und/oder Ethernet oder einem anderen Wired 

30 LAN (Local Area Network) etc. umfassen. Die Referenznummer 48 steht 

dementsprechend fOr die verschiedenen heterogenen Netzwerke, wie z.B. ein 
Bluetooth-Netzwerk, z.B. fQr Installationen in Qberdachten Ortlichkelten, ein 
Mobilfunknetz mit GSM und/oder UMTS etc., ein Wireless LAN z.B. basierend 
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auf IEEE wireless 802.1x. aber auch einem Wired LAN. d.h. einem lokalen 
Festnetz, insbesondere auch dem PSTN (Public Switched Telephone Network) 
etc.. Prinzipiell Istzu sagen. dass das erfindungsgemasse Verfahren und/oder 
System nicht an einen speziflschen Netzwerkstandart gebunden 1st, sofem die 
5 erfindungsgemassen Merkmale vorhanden sind, sondern kannen mit einem 
beliebigen LAN reallsiert werden. Die Schnittstellen 202 des mobilen IP-Nodes 
konnen nicht nur packet-switched Schnittstellen, wie sie von 
Netzwerkprotokollen wie z.B. Ethernet oder Tokenring direkt benutzt warden, 
sondern auch circuit-switched Schnittstellen, die mittels Protokollen wie z.B. 

10 PPP (Point to Point Protocol), SLIP (Serial Line Internet Protocol) oder GPRS 
(Generalized Packet Radio Service) benutzt werden konnen, d.h. welche 
Schnittstellen 2.B. keine Netzwerkadresse wie eine MAC- oder eine DLC- 
Adresse besitzen. Wie teilweise erwahnt, kann die Kommunikation Qber das 
LAN. beispielsweise mittels speziellen Kurzmeldungen, z.B. SMS (Short 

15 Message Services), EMS (Enhanced Message Services). Ober einen 

Signalisierungskanal, wie z.B. USSD (Unstructured Supplementary Sen/ices 
Data) Oder andere Technlken. wie MExE (Mobile Execution Environment), 
GPRS (Generalized Packet Radio Service). WAP (Wireless Application 
Protocol) Oder UMTS (Universal Mobile Telecommunications System) oder Qber 

20 IEEE wireless 802.1x oder einen anderen Nutzkanal erfolgen. Der mobile IP- 
Node 20 kann ein Mobile IP-ModuI und/oder ein IPsec-Modul umfassen. Die 
Hauptaufgabe des Mobile IP besteht darin, den mobilen IP-Node 20 im IP- 
Netzwerk zu authentifizieren und die IP-Pakete, die den mobilen Node 20 als 
Zieladresse haben, entsprechend umzuleiten. Zu den weiteren Mobile IP 

26 Spezifikationen siehe z.B. auch IETF (Internet Engineering Task Force) RFC 
2002. IEEE Comm. Vol. 35 No. 5 1997 etc. Mobile IP unterstutzt insbesondere 
IPv6 und IPv4. Die Mobile IP Fahigkeiten kOnnen vorzugsweise mit den 
Sicherheitsmechanismen eines IPsec (IP security protocol)-Moduls kombiniert 
werden, um ein sicheres mobiles Datenmanagement im affentlichen Internet zu 

30 garantieren. IPsec (IP security protocol) erzeugt paketweise oder socketweise 
Authentifikations-A/ertrauIichkeitsmechanismen zwischen Netzwerkknoten. die 
beide IPsec benutzen. Eine der Flexibilitaten von IPsec liegt insbesondere 
darin, dass es sich paketweise aber auch fOr einzelne Sockets konfigurieren 
lasst IPsec unterstQtzt IPvx. insbesondere IPv6 und IPv4. FQr detailliertere 

35 IPsec-Spezifikationen siehe z.B. Pete Loshin: IP Security Architecture; Morgan 
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Kaufmann Publishers; 1 1/1999 Oder A Technical Guide to IPsec; James S at 
al.; CRC Press, LLC; 12/2000 etc. Obwohl IPsec bei diesem 
AusfQhrungsbeispiel als Beispiel fur die Verwendung von Sicherheitsprotokollen 
auf IP-Nlveau beschrieben worden ist, sind alle mdglichen anderen 
5 Sicherheitsprotokolle oder -mechanismen oder gar das Weglassen von 
Sicherheitsprotokollen erfindungsgemass vorstellbar. 

Welter ist der mobile IP-Node 20 Qber eine kontaktbehaftete 
Schnittstelle mit einer SIM-Karte 201 (SIM: Subscriber Identity Module) 
verbunden, auf welcher eine IMSI (International Mobile Subscriber identifier) 

10 eines Benutzers von GSM-Netzwerken abgespelchert ist. Das SIM kann sowohl 
hardwaremdsslg als SIM-Karte und/oder softwaremassig als elektronische SIM 
realisiert sein. Zur Authentifizierung fordert der mobiler IP-Node 20 uber eine 
drahtlose Schnittstelle 202 innerhalb einer Basic Service Area eines WLANs bei 
einem Access Point 21/22 Zugriff auf das WLAN. Wie bereits beschrieben, 

15 kdnnen die verschiedenen WLANs unterschiedlicher Hot Spots heterogene 
Netzwerkstandards und -protokolle umfassen, wie z.B. WLAN basierend auf 
dem IEEE wireless 802.1x, Bluetooth etc.. Die Basic Sen/ice Area des WLAN 
umfasst ein oder mehrere einem Access Server 23 zugeordnete Access Points 
21/22. Der mobile IP-Node 20 ubermittelt auf einen Request des Access 

20 Sen/ers 23 eine auf der SIM-Karte 201 des mobilen IP-Nodes 20 gespeicherte 
IMSI an den Access Server 23. Die IMSI des mobilen IP-Nodes 20 wird mittels 
eines SIM-RADIUS-Moduls 30 gespeichert. Basierend auf der IMSI wird mittels 
von in einer SIM-Benutzerdatenbank 34 abgespeicherten Informationen der 
logischen IP-Datenkanal des WLAN zu entsprechenden GSM-Daten fQr Signal- 

25 und Datenkanale eines GSM-Netzwerkes benutzerspezifisch erganzt. Das GSM 
System umfasst Datenkanale, die sog. Traffic Channels, und 
Kontrolsignalkanale, sog. Signaling Channels. Die Traffic Channeles (z.B. 
GPRS, GSM-Voice, GSM-Daten etc.) sind fQr Benutzerdaten reserviert, 
wahrend die Signaling Channels (z.B. MAP, SS7 etc.) fOr Netzwerk- 

30 Managment, Kontrollfunktionen etc. verwendet werden. Die logischen Kanale 
sind Qber die Schnittstelle nicht alle gleichzeitig benutzbar, sondern anhand der 
GSM-Spezifikationen nur in bestimmten Kombinationen. Mittels eines SIM- 
Gateway-Moduls 32 werden zur DurchfOhrung der Authentifizierung des IP- 
Nodes basierend auf den GSM-Daten die notwendigen SS7/MAP-Funktionen 
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(Authentifikation und/oder Autorisation und/oder Konflgurationsinformationen) 
generiert, wobei das SIM-RADIUS-Moduls 30 mittels SIM-Benutzerdatenbank 
34 und SIM-Gateway-Moduls 32 die Authentifizierung des mobilen IP-Nodes 
basierend auf der IMSI der SIM-Karte 201 des mobilen Nodes 20 bei einem 

5 HLR 37 (Home Location Register) und/oder VLR 37 (Visitor Location Register) 
eines GSM-Netzwerkes durchfuhrt. Bei erfolgreicher Authentifizierung kann als 
Ausfuhrungsvariante zusatzlich zum Location Update beim HLR (37) und/oder 
VLR 37 eine Autorisierung des mobilen IP-Nodes 20 durchgefulirt werden, 
wobei beim HLR 37 und/oder VLR 37 ein entsprechendes Benutzerprofil 

10 basierend auf der IMSI heruntergelanden wird. Es 1st auch vorstellbar, dass fUr 
die Authentifizierung des mobilen IP-Nodes 20 nur bei einem oder melireren 
der ersten Authentifikationssctiritte die auf der SlIVl-Karte des mobilen IP-Nodes 
20 gespeicherte IIVISI benutzt wird und bei alien weiteren 
Autlientifikationsschritten die IIVISI durcfi eine generierte temporare \MS\ 

15 (TII\/1SI) ersetzt wird. Fur das Billing konnen die Billing-Records der heterogenen 
WLANs mit den Benutzerdaten (IMSI/riMSI) mittels eines Clearing-Modul 533 
synchronisiert werden und entsprechend aufbereitet werden, so dass diese z.B. 
im GSM-Standard TAP (Transferred Account Procedure), Insbesondere Im 
TAP-3 Standard, von Mobilfunkdienstanbietern oline Anpassung ihres 

20 Billingsystems fOr die Weiten/erwendung an ifire Kunden Qbernommen werden 
konnen. Die Transferred Account Procedure ist ein Protokoll fur die Abrechnung 
zwischen verschledenen Netzbetreibern, wobei die Version 3 (TAP-3) auch das 
Billing von Value Added Services in GPRS beherrscht 

Wie in Figur 5 illustriert, kann die Authentifiziemng des mobilen IP- 
25 Nodes 20 z.B. mittels Extensible Authentication Protocol durchgefOhrt werden. 
Fur das EAP-basierende Verfahren zur Authentifizierung eines Benutzers und 
zur Vergabe von Sessions Keys an den Benutzer mittels des GSM Subscriber 
Identity Modul (SIM) kann z.B. folgendes Challenge-Response Verfahren 
verwendet werden. Dem Authentifikationsalgorithmus der SIM-Karte wird als 
30 Challenge (Frage) eine 128-bit Zufailszahl (RAND) gegeben. Auf der SIM-Karte 
lauft dann ein fOr den jeweiligen Operator spezifischer. vertraulicher 
Algorithmus, der als Input die Zufailszahl RAND und einen geheimen, auf der 
SIM-Karte gespeicherten SchlOssel Ki erhSIt und daraus eine 32-bit Antwort 
(SRES) und ein 64-bit SchlOssel Kc generiert. Kc dient zur VerschlQsselung des 
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Datentransfers Qber drahtlose Schnittstellen (GSM Technical Specification GSM 
03.20 (ETS 300 534): "Digital cellular telecommunication system (Phase 2); 
Security related network functions", European Telecommunications Standards 
Institute, August 1997). Zur Authentifizlerung werden mehrere RAND Challenge 
5 zum Generieren von mehreren 64-bit Kc Schlussein verwendet. Diese Kc- 
SchlQssel werden zu einem langeren Session Key kombiniert. Figur 4 zeigt 
schematisch den Aufbau zwischen dem mobilen IP-Node 20, dem Access Point 
21 und dem Access Server 23 in einem IEEE 802.1 x Port-basierenden 
Authentifikationsverfahren. wobei der mobile IP-Node 20 (Remote Access 

10 Client / Supplicant) Qber den Access Point 21 (Authenticator) beim Access 
Server 23 (Authentifikations-Server) authentifiziert wird. Das WLAN basiert in 
diesem AusfOhrungsbeispiel auf IEEE 802.11. Urn die GSM-Authentifikation 
durchzufuhren, fungiert das SIM-Gateway-Mbdul 32 als Gateway zwischen 
Internet Authentification Service (IAS) Server Netzwerk und der GSM 

15 Authentifikationsinfrastruktur, d.h. dem Access Point 21/22 bzw. dem Access 
Server 23 und dem HLR 37 bzw. dem VLR 37. Zu Beginn der EAP/SIM 
Authentifizlerung verlangt der Access Server 23 mit einem ersten EAP-Request 
1 durch den Access Point 21/22 vom mobilen IP-Node 20 u.a. die International 
Mobile Subscriber Identity (IMSI) des Benutzer. Diese wird vom mobilen IP- 

20 Node mittels EAP-Response 2 an den Access Point 21/22 ubermittelt. Mit der 
IMSI erhalt der Access Server 23 auf eine Triplet-Anfrage vom entsprechenden 
HLR 37 bzw. VLR 37 bezeichnet, n GSM Triplets. Basierend auf den Triplets 
kann der Access Server 23 ein Message Authentification Code fOr n^RAND und 
eine Lebensdauer fUr den SchlQssel (zusammen MAC_RAND) sowie einen 

25 Session Schlussel erhalten. In einem 3. EAP-Schritt 3 (Figur 5) schickt der 
Access Server 23 dann z.B. einen EAP-Request vom Typ 18 (SIM) an den 
mobilen IP-Node 20 und erhalt die entsprechende EAP-Response 4. EAP- 
Datenpackete vom Typ SIM haben zusatzlich ein spezielles Subtyp-Feld. Der 
erste EAP-Request/SIM ist vom Untertype 1 (Start). Dieses Packet enthalt die 

30 Liste der EAP/SIM Protokoll Verslons-Nummern, die durch den Access Server 
23 unterstutzt werden. Der EAP-Response/SIM (Start) 4 (Figur 5) des mobilen 
IP-Nodes 20 enthalt die vom mobilen IP-Node 20 ausgevyahlte 
Versionsnummer. Der mobile IP-Node 20 muss eine der im EAP-Request 
angegebenen Versionsnummern auswahlen. Der EAP-Response/SIM (Start) 

35 des mobilen IP-Nodes 20 enthalt ebenfalls einen Lebensdauervorschlag fQr den 
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Schlussel (Key) und eine Zufallsnummer NONCE_MT. die durch den mobilen 
IP-Node generiert wurde. Alle folgenden EAP-Requests enthalten alle die 
gleiche Version wie das EAP-Response/SIM (Start) Datenpacket des mobilen 
IP-Nodes 20. Wie envahnt, besitzt diese Ausfuhrungsvariante um die GSM- 
5 Authentifikation durchzuRlhren ein SIM-Gateway-Modul 32, das als Gateway 
zwischen dem Access Server 23 und dem HLR 37 bzw. dem VLR 37 fungiert. 
Nach Erhalt der EAP-Response/SIM erhSIt der Access Server 23 ein n GSM 
Triplet vom HLRA/LR 37 des GSM-Netzwerkes. Aus den Triplets berechnet der 
Access Server 23 MAC_RAND und den Session Key K. Die Berechnung der 

10 kryptographischen Werte des SIM-generierten Session Key K und der Message 
Authentification Codes MAC-Rand und MAC_SRES konne beispielsweise dem 
Dokument "HMAC: Keyed-Hasiiing for Message Authentification" von H. 
Krawczyk, M. Bellar und R. Canetti (RFC2104, Feb. 1997) entnommen werden. 
Der nachste EAP-Request 5 (Figur 5) des Access Servers 23 1st vom Typ SIM 

15 und Subtyp Challenge. Der Request 5 enthalt die RAND Challenges, die vom 
Access Server 23 beschlossene Lebensdauer des SchlQssels, ein Message 
Authentication CodefOr die Challenges und die Lebenszeit (MAC_RAND). 
Nach Erhalt des EAP-Request/SIM (Challenge) 5 ISuft der GSM- 
Authentifikationsalgorlthmus 6 auf der SIM-Karte und berechnet eine Kopie von 

20 MAC_RAND. Der mobile IP-Node 20 kontrolliert. dass der berechnete Wert von 
MAC_I^ND glelch dem erhaltenen Wert von MAC_RAND ist. Ergibt sich keine 
Obereinstimmung der beiden Werte, bricht der mobile IP-Node 20 das 
Authentifikationsverfahren ab und schickt keine von der SIM-Karte berechneten 
Authentifikationswerte an das Netzwerk. Da der Wert RAND zusammen mit 

25 dem Message Authentifikations-Code MAC_RAND erhalten wird, kann der 
mobile IP-Node 20 sicherstellen, dass RAND neu ist und vom GSM-Netzwerk 
generiert wurde. Sind alle Oberprufungen richtig gewesen, schickt der mobile 
IP-Node 20 ein EAP-Response/SIM (Challenge) 7. der als Antwort MAC^SRES 
des mobilen IP-Nodes 20 enthalt. Der Access Server 23 QberprQft, dass 

30 MAC_RES korrekt ist und schickt schliesslich ein EAP-Success Datenpacket 8 
(Figur 5), welches dem mobilen IP-Node 20 anzeigt, dass die Authentifizienjng 
erfolgreich war. Der Access Server 23 kann zusatzlich den erhaltenen Session 
Key mit der Authentifizierungs-Meldung (EAP-Success) an den Access Point 
21/22 schlcken. Bei erfolgreicher Authentifizierung wird ein Location Update 

35 beim HLR 37 und/oder VLR 37 durchgefQhrt und der mobile IP-Node 20 erhSIt 
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in elner Customer Database des Access Servers einen entsprechenden 
Eintrag, wobei das WLAN zur Benutzung durch den mobilen IP-Node 20 
freigegeben wird. Wie erwahnt, hat dies u.a. den Vorteil, dass ein 
automatisclies Roaming zwischen unterschlediichen und heterogenen WLANs 
moglich wird. Durch das Verbinden der WLAN-Technologie, insbesondere der 
IP-Netzwerl<e, mit der GSM-Technologle wird das Roaming des Benutzers 
mSgiich, ohne dass er sich urn Anmeldung. Biliing. Service Autorisation etc. bei 
den verschiedenen W1_AN-Dlenstanbietern bemQhen mQsste, d.h. dass der 
Benutzer den gleichen Komfort geniesst, wie er es von der 
Mobiifunlctechnologie, wie z.B. GSIVI, gewohnt ist. Gleichzeitig ist es auf sine 
vollig neue Art moglich, die Vortelle der offenen IP-Welt (Zugang zum 
weltweiten Intemet etc.) mit den Vorteilen (Sicherheit, Billing, Sen^ice 
Autorisation etc.) zu verbinden. Die Erfindung eriaubt auch ein Verfahren fOr ein 
Roaming in WLANs zu erzeugen, ohne dass bei jedem Access Server ein 
entsprechendes Modui eingebaut .werden mQsste. im Gegenteil kann die 
Infrastruktur (WLAN/GSM) durch die Venwendung von RADIUS unverSndert 
Obernommen werden. Die Erfindung ermoglicht dadurch eIn automallsches 
Roaming zwischen heterogenen WLANs. GSM-, GPRS- und UMTS- 
Netzwerken. 

Figur 3 zeigt in einem Blockdiagramm noch einmal schematisch ein 
erfindungsgemasses Verfahren und System, wie Qberdie Schnittstellen der 
Authentifizierung 371 und Autorisierung 372 (SS7/MAP). Service Autorisierung 
531 und Billing 532 die offene IP-Welt 57 mit der restriktiveren GSI\/l-Weit 58 
verbunden sind. Die Referenznummer 38 geben dabei unterschiediiche 
Mobilfunknetzdienstanbieter mit zugeordneten HLR/VLR 37 an. Als 
AusfGhrungsvariante ist es vorstellbar, dass der Datenstrom des mobilen IP- 
Nodes 20 beim Zugriff auf das WLAN vom Access Point 21/22 Qber den 
Mobilfunknetzdienstanbieter 38 geleltet wird. Dies eriaubt dem 
Mobilfunknetzdienstanbieter 38 baslerend auf der Authentifizierung mittels der 
IMSI benutzerspezifische Service Autorisierung zur Benutzung 
unterschiedlicher Dienste zu erteiien und/oder benutzerspezifisches Billing der 
beanspruchten Leistung durchzufuhren. Zur Service Autorisierung wird nach 
der Authentifikation des Benutzers neben den Location Update beim HLR/VLR 
37 ein Benutzerprofil (Enduserprofil) heruntergeiaden, aus weichem die 
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entsprechenden Angaben zur Service Autorisierung eines Benutzers 
entnommen werden konnen. Basierend auf dem Benutzerprofil werden im 
mobilen IP-Node 20 die entsprechenden Autorisierungsflags zur Freigabe oder 
Verweigerung bestimmter Dienste geselzt. Die Servicefreigabe konnte 
5 prinzipiell auch 2.B. mittels einem Modul 214 direkt beim Access Point 21/22 
Oder, falls der Datenstrom umgeleitet wird, beim Mobilfunknetzdienstanbleter 38 
vorgenommen werden. 

Es bleibt zu enwahnen, dass in einem erweiterten AusfOhmngsbei- 
spiel zum oben genannten AusfQhnjngsbeispiel die SIM-Benutzerdatenbank 34 

10 mit einem Sync-Modul 35 und elner Sync-Datenbank 36 zum Verandem oder 
L5schen von bestehenden Benutzerdatensatzen oder zum EinfQgen neuer 
Benutzerdatensatze verbunden ist, wobei der Abgleich der Datenbanken 34/36 
periodisch durchgefuhrt wird und/oder durch Veranderungen der Sync- 
Datenbank 36 und/oder durch Ausfall der SIM-Benutzerdatenbank 34 ausgelost 

15 wird. Das Sync-Modul 35 und die Sync-Datenbank 36 kSnnen wle die Qbrigen 
erfindungsgemSssen Komponenten hardware- oder softwaremassig als 
eigenstandige Netzwerkkomponenten, z.B. als elgenstSndiger IP-Node 
und/oder GSM-Komponente oder einer anderen Systemkomponente 
zugeordnet und/oder in eine andere Systemkomponente integriert realisiert 

20 sein. Mit dieser Ausfuhrungsvariante kbnnen die Mobilfunknetzbetreiber 38 zum 
Verandern oder Loschen von bestehenden Benutzerdatensatzen oder zum 
EinfQgen neuer Benutzerdatensatze in gleicher Weise verfahren, wie bisher mit 
Ihren Benutzerdatenbanken, dass heisst, ohne dass sie zusStzliche System 
kaufen oder warten mdssten. 
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Anspriiche 



1. Verfahren fQr automatisches Roaming zwischen heterogenen 
WLANs und/oder GSM/GPRSAJMTS-Netzwerken. bel welchem zur 

5 Authentiflzierung eln mobiler IP-Node (20) Qber eine drahtlose Schnittstelle 
innerhalb einer Basic Service Area eines WUVNs bei einem Access Point 
(21/22) Zugriff auf das Wl-AN fordert, wobei die Basic Sen/ice Area des WLAN 
ein Oder mehrere einem Access Server (23) zugeordnete Access Points (21/22) 
umfasst. bei weichem der mobile IP-Node (20) auf einen Request des Access 

10 Senders (23) eIne auf einer SIM-Karte (201 ) des mobilen IP-Nodes (20) 

gespeicherte IMSI an den Access Server (23) Obermittelt und die IMSI des IP- 
Nodes (20) in einer Datenbank (31) eines SIM-RADIUS-Moduls (30) 
gespeichert wird, dadurch gekennzeiclinet, 

dass basierend auf der IMSI mittels von In einer SIM- 
15 Benutzerdatenbank (34) abgespelcherten Infomnatlonen der logischen IP- 
Datenkanal des WLAN zu entsprechenden GSM-Daten fOr Signal- und 
Datenkanaie eines GSM-Netzwerkes benutzerspezifisch erganzt wird, 

dass mittels eines SIIVl-Gateway-Moduls (32) zur DurchfOhrung der 
Authentiflzierung des IP-Nodes (20) basierend auf den GSM-Daten die 
20 notwendigen SS7/MAP-Funktionen generiert werden. 

dass das SIM-RADIUS-Moduis (30) mittels SIM-Benutzerdatenbank 
(34) und SIM-Gateway-Moduls (32) die Authentiflzierung des mobilen IP-Nodes 
(20) basierend auf der IMSI der SIM-Karte (201) des mobilen Nodes (20) bel 
einem HLR (37) und/oder VLR (37) eines GSM-Netzwerkes durchfQhrt. und 

25 dass bei erfolgreicher Authentiflzierung ein Location Update beim 

HLR (37) und/oder VLR (37) durchgefOhrt wird und der mobile IP-Node (20) in 
einer Customer Database des Access Seivers (23) einen entsprechenden 
Eintrag erhait, wobei das WLAN zur Benutzung durch den mobilen IP-Node (20) 
freigegeben wird. 




PCT/CH <)2 / 00 4^52 



23 

2. Verfahren fur automatisches Roaming zwischen heterogenen 
WLANs und/oder GSM/GPRS/UMTS-Netzwerken nach Anspmch 1, dadurch 
gekennzeichnet, dass bei erfolgreicher Authentifizierung zusatzlich zum 
Location Update beim HLR (37) und/oder VLR (37) eine Autorisierung des 

5 mobilen IP-Nodes (20) durchgefQIirt wird, wobel balm HLR (37) und/oder VLR 
(37) ein entsprechendes Benutzerprofil basierend auf der IMSI 
heruntergelanden wlrd. 

3, Verfahren fQr automatisches Roaming zwischen heterogenen 
WLANs und/oder GSM/GPRS/UMTS-Netzwerken nach einem der Anspruche 1 

10 Oder 2, dadurch gekennzeichnet, dass fQr die Authentifizierung des mobilen IP- 
Nodes (20) die auf der SIM-Karte des mobilen IP-Nodes (20) gespeicherte IMSI 
nur bis zu einem oder mehreren der ersten Authentifikationsschritte benutzt 
wlrd und bei alien weiteren Authentifikationsschritten die IMSI durch eine 
generierte temporare IIVISI ersetzt wird. 

15 4. Verfahren fQr automatisches Roaming zwischen heterogenen 

WLANs und/oder GSM/GPRS/UMTS-Netzwerken nach einem der/\nsprQche 1 
bis 3, dadurch gekennzeichnet, dass die Authentifiziemng des mobilen IP- 
Nodes (20) mittels Extensible Authentication Protocol durchgefOhrt wird. 

5. Verfahren fQr automatisches Roaming zwischen heterogenen 

20 WLANs und/oder GSM/GPRS/UMTS-Netzwerken nach einem der AnsprQche 1 
bis 4, dadurch gekennzeichnet. dass der Datenstrom des mobilen IP-Nodes 
(20) beim Zugriff auf das WLAN vom Access Point (21/22) Qber einen 
Mobilfunknetzdienstanbieter geleitet wird. 

6. Verfahren fQr automatisches Roaming zwischen heterogenen 
25 WLANs und/oder GSM/GPRS/UMTS-Netzwerken nach Anspruch 5. da durch 

gekennzeichnet, dass der Mobilfunknetzdienstanbieter basierend auf der 
Authentifizierung mittels der IMSI die entsprechende Service Autorisierung zur 
Benutzung unterschiedlicher Dienste erteilt und/oder Billing der beanspruchten 
Leistung durchfuhrt. 
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7. Verfahren fiir automatisches Roaming zwischen heterogenen 
WLANs und/oder GSM/GPRS/UMTS-Netzwerken nach einem der Anspruche 1 
bis 6. dadurch gekennzeichnet. dass die SIM-Benutzerdatenbank (34) mit 
einem Sync-Modul (35) und einer Sync-Datenbank (36) zum Verindem oder 
L6schen von bestelnenden BenutzerdatensStzen oder zum EinfQgen neuer 
BenutzerdatensStze verbunden ist, wobei der Abgieich der Datenbanken 
(34/36) periodiscli durchgefOhrt wird und/oder durch Veranderungen der Sync- 
Datenbank (36) und/oder durcli Ausfali der SIM-Benutzerdatenbank (34) 
ausgelost wird. 

8. Verfahren fQr automatisclies Roaming zwisclnen heterogenen 
WLANs und/oder GSM/GPRS/UMTS-Netzwerken nach einem der Anspruche 1 
bis 7, dadurch gekennzeichnet. dass mittels eines Clearlng-Moduls 533 fQr das 
Billing die Billing-Records der heterogenen WIj^Ns mit den Benutzerdaten 
synchronisiert und basierend auf dem GSM-Standard TAP aufbereltet werden. 

9. System fQr automatisches Roaming zwischen heterogenen 
WLANs und/oder GSM/GPRS/UMTS-Netzwerken, welches System mindestens 
ein WLAN mit jeweils einer Basic Service Area umfasst, welche Basic Service 
Area eines WLANs einen oder mehrere einem Access Server (23) zugeordnete 
Access Points (21/22) umfasst. welche Access Points (21/22) eine drahtlose 
Schnittstelle (211) zum Kommunizieren mit mobilen IP-Nodes (20) umfassen 
und welche mobilen IP-Nodes (20) eine SIM-Karte (201) zum Speichem einer 
IMSI umfassen, dadurch gekennzeichnet, 

dass der Access Server (23) ein SIM-RADIUS-Moduls (30) mit eIner 
Datenbank (31) zum Speichem der IMSI umfasst, wobei basierend auf der IMSI 
mittels von in einer SIM-Benutzerdatenbank (34) abgespelcherten 
Informationen der loglschen IP-Datenkanal des WLAN zu GSM-Daten fQr 
Signal- und Datenkanale eines GSM-Netzwerkes benutzerspezifisch erganzt 
wird, 

dass das System eine SIM-Gateway-Modul (32) umfasst, mittels 
welchem zur DurchfQhrung der Authentifizierung des mobilen IP-Nodes (20) 
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baslerend auf den GSM-Daten die notwendigen SS7/MAP-Funktionen 
generierbar sind, und 

dass der Access Server (23) eine Customer Database umfasst, in 
welche authentlfizierte Benutzer des VJLMiS mittels dem SIM-RADIUS-Modu! 
5 (30) eintragbar sind, wobel bei der Eintragung ein Location Update der IMSI des 
mobilen IP-Nodes (20) beim HLR (37) und/oder VLR (37) durchgefuhrt wird. 

10. System filr automatisches Roaming zwisclnen heterogenen 
WI-ANs und/oder GSM/GPRS/UMTS-Netzwerken nach Anspruch 9, dadurcli 
geltennzeichnet. dass bei erfolgreiclier Autlientifizierung zusatzlich zum 

10 Location Update mittels eines Benutzerprofils des HLR (37) und/oder VLR (37) 
eine Autorisierung des mobilen IP-Nodes (20) durchfQhrbar isL 

11. System fOr automatisclies Roaming zwischen heterogenen 
WLANs und/oder GSM/GPRS/UMTS-Netzwerken nach einem der /KnsprOche 9 
Oder 10, dadurch gekennzeichnet, dass fQr die Authentifiziemng des mobilen 

15 IP-Nodes (20) bei mindestens einem der Authentifikationsschritte die IMSI 
durch eine mittles einem Modul generierte temporSre IMSI ersetztbar Ist. 

12. System fQr automatisclies Roaming zwischen heterogenen 
WLANs und/oder GSM/GPRS/UMTS-Netzwerken nach nach einem der 
AnsprOche 9 oder 11, dadurch gekennzeichnet. dass die Authentifizierung des 

20 mobilen IP-Nodes (20) mittels Extensible Authentication Protocol durchfQhrbar 
Ist. 

13. System fOr automatisches Roaming zwischen heterogenen 
WLANs und/oder GSM/GPRS/UMTS-Netzwerken nach eInem der AnsprQche 9 
Oder 12. dadurch gekennzeichnet. dass das System ein Mobiifunknetzanbieter 

25 umfasst, Qber welchen der Datenstrom des mobilen IP-Nodes (20) beim Zugriff 
auf das WLAN vom Access Point (21/22) umleitbar ist. 

14. System fOr automatisches Roaming zwischen heterogenen 
WLANs und/oder GSM/GPRS/UMTS-Netzwerken nach Anspruch 13. dadurch 
gekennzeichnet, dass der Mobilfunknetzdienstanbieter ein Autorisierungs- 
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Modul umfasst, das basierend auf der Authentifizierung mittels der IMSI die 
entsprechende Service Autorisierung zur Benutzung unterschiedlicher Dienste 
erteilt. und/oder ein Clearing System (53) umfasst, das das Billing der 
beansprucliten Leistung durchfiliirt. 

15. System fOr automatisciies Roaming zwischen heterogenen 
WLANs und/oder GSM/GPRS/UMTS-Netzwerken nach einem der AnsprOclie 9 
bis 14. dadurch gekennzeichnet. dass das System eine Sync-Modul (35) mit 
einer Sync-Datenbanl^ (36) umfasst, mittels welcher die SIM- 
Benutzerdatenbanl< (34) zum Verandern oder Loschen von bestehenden 
Benutzerdatensatzen oder zum EInfQgen neuer Benutzerdatensatze verbunden 
ist, wobel der Abgleich der Datenbanlten periodiscli durcligefQhrt wird und/oder 
durch VeMinderungen der Sync-Datenbank (36) und/oder durch Ausfall der 
SIM-Benutzerdatenbank (34) ausgelQst wird. 

16. System fur automatisches Roaming zwischen heterogenen 
WLANs und/oder GSl^/l/GPRS/UMTS-Netzwerken nach einem der AnsprOche 9 
bis 15, dadurch gekennzeichnet, dass mittels eines Clearlng-Moduls 533 fOr 
das Billing die Billing-Records der heterogenen Wl_ANs mit den Benutzerdaten 
synchronislerbar sind und basierend auf dem GSM-Standard TAP aufbereitbar 
sind. 
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Zusammenfossung 

Die Erfindung betrifft ein Verfahren fQr automatisches Roaming 
zwischen heterogenen WLANs und/oder GSM/GPRS/UMTS-Netzwerken. bei 
welchem zur Authentlflzierung eIn mobiler IP-Node (20) bei einem Access Point 
(21/22) Zugriff auf das WLAN fordert, bei weichem der mobile IP-Node (20) auf 
einen Request des Access Servers (23) eine auf einer SIM-Karte (201 ) des 
mobilen IP-Nodes (20) gespeicherte IIVISI an den Access Server (23) Ubermittelt 
und bei welchem basierend auf der IMSI mittels von in einer SIM- 
Benutzerdatenbanl< (34) abgespeicherten Infomiationen der logischen IP- 
Datenl<anal des WLAN zu entsprechenden GSM-Daten ftlr Signal- und 
Datenkanale eines GSM-Netzweri<es benutzerspezifisch erganzt wird und die 
Authentifizierung des IP-Nodes (20) bei einem HLR (37) und/oder VLR (37) 
eines GSM-Netzwerl<es durchgefQhrtwird. 



(Figurl) 
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FIG. 5 



